Phishing

Phishing einfach erklärt

Phishing ist eine Form des Social Engineering, bei der Angreifer ihre Opfer durch gefälschte Nachrichten oder Webseiten täuschen. Ziel ist es, Zugangsdaten, Zahlungsinformationen oder andere vertrauliche Daten zu stehlen oder eine schädliche Handlung auszulösen.

Die Angreifer geben sich beispielsweise als Bank, Cloud-Anbieter, Lieferant, Führungskraft oder IT-Support aus. Phishing erfolgt nicht nur per E-Mail, sondern auch über SMS, Telefonanrufe, Messenger, soziale Netzwerke und QR-Codes.

Wie funktioniert Phishing?

Phishing-Angriffe nutzen häufig Zeitdruck, Angst, Neugier oder Vertrauen. Die Nachricht soll den Empfänger dazu bringen, vorschnell zu handeln.

Typische Aufforderungen sind:

ein angeblich gesperrtes Konto bestätigen
ein Passwort zurücksetzen
eine offene Rechnung bezahlen
einen Anhang öffnen
eine Anmeldung bestätigen
Bank- oder Kreditkartendaten eingeben
eine neue Zahlungsanweisung ausführen
Multi-Faktor-Authentifizierung freigeben

Der enthaltene Link führt häufig zu einer gefälschten Anmeldeseite. Diese kann dem echten Portal täuschend ähnlich sehen. Dort eingegebene Zugangsdaten werden an die Angreifer übertragen.

Welche Arten von Phishing gibt es?

Massenphishing

Beim klassischen Massenphishing werden weitgehend identische Nachrichten an viele Empfänger versendet. Die Angreifer setzen darauf, dass ein kleiner Teil der Empfänger reagiert.

Spear Phishing

Spear Phishing richtet sich gezielt an bestimmte Personen oder Unternehmen.

Die Nachrichten enthalten häufig persönliche oder geschäftliche Informationen, beispielsweise Namen von Kollegen, laufende Projekte oder bekannte Lieferanten. Dadurch wirken sie glaubwürdiger.

Whaling

Whaling ist eine besonders gezielte Variante gegen Führungskräfte, Entscheider oder andere Personen mit umfangreichen Berechtigungen.

Business Email Compromise

Beim Business Email Compromise, kurz BEC, geben sich Angreifer als Vorgesetzte, Geschäftspartner oder Lieferanten aus. Teilweise verwenden sie dafür ein tatsächlich kompromittiertes E-Mail-Konto.

Ziel sind häufig:

betrügerische Überweisungen
geänderte Bankverbindungen
vertrauliche Unternehmensdaten
Personaldaten
Gutscheinkarten
Freigaben für weitere Angriffe

BEC-Nachrichten enthalten nicht zwingend einen schädlichen Link oder Anhang und sind deshalb mit klassischen Filtern teilweise schwer zu erkennen.

Smishing

Smishing bezeichnet Phishing über SMS oder andere Kurznachrichtendienste. Häufige Themen sind angebliche Paketlieferungen, Bankwarnungen oder offene Gebühren.

Vishing

Vishing ist Phishing per Telefon. Angreifer geben sich beispielsweise als Bankmitarbeiter, technischer Support oder Behörde aus.

QR-Phishing

Beim sogenannten Quishing führen manipulierte QR-Codes zu gefälschten Webseiten. Da das eigentliche Ziel in der Nachricht nicht sofort sichtbar ist, können klassische Prüfungen erschwert werden.

Woran erkennt man eine Phishing-Nachricht?

Mögliche Warnsignale sind:

unerwartete Aufforderungen
ungewöhnlicher Zeitdruck
Drohungen mit Kontosperrung oder Konsequenzen
unbekannte oder leicht veränderte Absenderadresse
unpassende Anrede oder Sprache
Aufforderung zur Eingabe von Zugangsdaten
geänderte Bankverbindung
unerwarteter Anhang
Link zu einer unbekannten Domain
ungewöhnliche Bitte eines Vorgesetzten
Aufforderung zur MFA-Bestätigung ohne eigene Anmeldung

Professionelle Phishing-Nachrichten können jedoch sprachlich korrekt und optisch überzeugend sein. Rechtschreibfehler sind daher kein notwendiges Erkennungsmerkmal.

Was ist Spoofing?

Beim Spoofing werden Absenderinformationen so manipuliert, dass eine Nachricht scheinbar von einer vertrauenswürdigen Quelle stammt.

Technische Schutzverfahren wie SPF, DKIM und DMARC können bestimmte Formen des E-Mail-Spoofings erschweren. Sie verhindern jedoch nicht, dass Angreifer ähnlich aussehende Domains oder kompromittierte echte Konten verwenden.

Schützt MFA vor Phishing?

Multi-Faktor-Authentifizierung reduziert das Risiko einer Kontenübernahme, bietet aber keinen vollständigen Schutz.

Angreifer können versuchen:

Einmalcodes direkt abzufangen
Benutzer zu einer Push-Bestätigung zu bewegen
Sitzungstoken zu stehlen
Wiederherstellungsprozesse zu manipulieren
kompromittierte Endgeräte zu verwenden

Besonders wirksam sind phishing-resistente Verfahren wie Passkeys oder FIDO2-Sicherheitsschlüssel. Sie prüfen technisch, ob die Anmeldung für den richtigen Dienst erfolgt.

Wie können sich Unternehmen schützen?

Ein wirksamer Schutz kombiniert technische und organisatorische Maßnahmen.

Dazu gehören:

E-Mail- und Webfilter
phishing-resistente MFA
sichere Konfiguration von SPF, DKIM und DMARC
Deaktivierung unsicherer Anmeldeverfahren
regelmäßige Awareness-Schulungen
kontrollierte Prozesse für Zahlungsänderungen
Rückruf über bekannte Telefonnummern
Kennzeichnung externer E-Mails
zentrale Protokollierung und Anmeldeüberwachung
eingeschränkte Benutzerrechte
Endpoint-Schutz
klarer Meldeweg für verdächtige Nachrichten

Zahlungsanweisungen oder Änderungen von Bankverbindungen sollten immer über einen zweiten, unabhängigen Kommunikationsweg bestätigt werden.

Was tun nach einem Phishing-Vorfall?

Wurden Zugangsdaten eingegeben oder ein Anhang geöffnet, sollte sofort die interne IT oder das Sicherheitsteam informiert werden.

Mögliche Schritte sind:

betroffenes Konto sperren oder Passwort ändern,
aktive Sitzungen und Zugriffstoken widerrufen,
MFA-Einstellungen überprüfen,
Weiterleitungsregeln im Postfach kontrollieren,
betroffene Systeme untersuchen,
Empfänger ähnlicher Nachrichten warnen,
ungewöhnliche Anmeldungen und Transaktionen prüfen,
bei Zahlungsbetrug umgehend Bank und Verantwortliche kontaktieren.

Eine schnelle Meldung ist wichtiger als die Sorge vor persönlichen Konsequenzen. Je früher reagiert wird, desto besser lassen sich mögliche Schäden begrenzen.

Fazit

Phishing nutzt Täuschung und psychologische Manipulation, um vertrauliche Informationen zu stehlen oder schädliche Handlungen auszulösen. Die Angriffe reichen von einfachen Massenmails bis zu gezielten Betrugsversuchen mit kompromittierten Geschäftskonten.

Unternehmen benötigen deshalb mehrschichtige Schutzmaßnahmen aus sicheren Anmeldeverfahren, technischen Filtern, klaren Kontrollprozessen und geschulten Mitarbeitenden.